Adversarial Attack on Black-Box Multi-Agent by Adaptive Perturbation

यहाँ शोध पत्र "Adversarial Attack on Black-Box Multi-Agent by Adaptive Perturbation" (AdapAM) का विस्तृत तकनीकी सारांश दिया गया है।

1. समस्या विवरण (Problem Statement)

यह शोध पत्र कठोर ब्लैक-बॉक्स सेटिंग्स (strict black-box settings) में संचालित होने वाले मल्टी-एजेंट सिस्टम्स (MAS) की महत्वपूर्ण सुरक्षा और विश्वसनीयता चुनौतियों को संबोधित करता है।

• संदर्भ: MAS का उपयोग UAVs, औद्योगिक रोबोटिक्स और स्वायत्त ड्राइविंग (autonomous driving) में तेजी से किया जा रहा है। हालाँकि, वे प्रतिकूल हमलों (adversarial attacks) के प्रति संवेदनशील हैं जहाँ निर्णय लेने की प्रक्रिया को गुमराह करने के लिए इनपुट्स में व्यवधान (perturbations) डाला जाता है।
• मौजूदा कार्यों की सीमाएँ:
  • व्हाइट-बॉक्स धारणाएँ (White-box Assumptions): कई मौजूदा विधियों के लिए आंतरिक मॉडल मापदंडों या नेटवर्क आउटपुट तक पहुँच की आवश्यकता होती है, जो वास्तविक दुनिया के परिनियोजन (deployments) में अवास्तविक है।
  • उच्च नियंत्रण अधिकार (High Control Authority): कुछ विधियाँ मानती हैं कि हमलावर एजेंटों के कार्यों (actions) को सीधे नियंत्रित कर सकता है, जो शायद ही कभी संभव होता है।
  • गोपनीयता/प्रभावशीलता ट्रेड-ऑफ का अभाव (Lack of Stealthiness/Effectiveness Trade-off): वर्तमान ब्लैक-बॉक्स विधियाँ अक्सर सभी एजेंटों को बाधित करती हैं (खराब गोपनीयता) या पर्यावरण की स्थिति की परवाह किए बिना निश्चित एजेंटों को लक्षित करती हैं (खराब प्रभावशीलता)। उनमें सबसे महत्वपूर्ण पीड़ित (victim) और सबसे हानिकारक क्रिया (action) को गतिशील रूप से चुनने की रणनीति का अभाव है।
• लक्ष्य: एक ऐसा हमला ढांचा (attack framework) विकसित करना जो कठोर ब्लैक-बॉक्स सेटिंग (केवल इनपुट/आउटपुट का अवलोकन) में कार्य करे, केवल एजेंटों के अवलोकनों (observations) को बाधित करे (क्रियाओं को नहीं), और एक एकल, अनुकूल रूप से चयनित एजेंट पर हमला करके उच्च प्रभावशीलता बनाए रखते हुए उच्च गोपनीयता (stealthiness) प्राप्त करे।

2. कार्यप्रणाली: AdapAM ढांचा (Methodology: AdapAM Framework)

लेखक AdapAM (Adaptive adversarial Attacks on Multi-Agent systems) प्रस्तावित करते हैं, जिसमें दो मुख्य मॉड्यूल शामिल हैं:

A. अनुकूल चयन नीति ($\pi_\phi$) (Adaptive Selection Policy)

यह मॉड्यूल निर्धारित करता है कि प्रत्येक समय चरण (time step) पर किस एजेंट पर हमला करना है और कौन सी दुर्भावनापूर्ण क्रिया (malicious action) प्रेरित करनी है।

• उद्देश्य: सबसे महत्वपूर्ण एजेंट (विरोधी) और उस क्रिया का चयन करके MAS के वैश्विक पुरस्कार (global reward) की गिरावट को अधिकतम करना जो सबसे बुरा प्रभाव डालती है।
• वास्तुकला (Architecture):
  • इसे सॉफ्ट एक्टर-क्रिटिक (Soft Actor-Critic - SAC) का उपयोग करके एक सुदृढीकरण लर्निंग (Reinforcement Learning - RL) प्रक्रिया के रूप में मॉडल किया गया है।
  • पदानुक्रमित डिज़ाइन (Hierarchical Design): सर्च स्पेस को कम करने के लिए, नीति दो क्लासिफायर का उपयोग करती है:
    1. $C_{\phi_1}$: वैश्विक स्थिति $s_t$ के आधार पर विरोधी एजेंट इंडेक्स ($i_t$) का चयन करता है।
    2. $C_{\phi_2}$: $s_t$ और चयनित एजेंट $i_t$ के आधार पर दुर्भावनापूर्ण क्रिया ($\tilde{a}_t$) का चयन करता है।
  • पुरस्कार संकेत (Reward Signal): चयन नीति के लिए पुरस्कार पीड़ित MAS का नकारात्मक वैश्विक पुरस्कार है ($R^\alpha_t = -R(s_t, a_t, s_{t+1})$)।
• संचालन: प्रत्येक चरण में, नीति एक एजेंट और एक लक्षित क्रिया का नमूना (sample) लेती है। फिर सिस्टम चुनी गई विशिष्ट क्रिया को निष्पादित करने के लिए मजबूर करने हेतु चयनित एजेंट के अवलोकन को बाधित करने का प्रयास करता है।

B. दुर्भावनापूर्ण क्रिया प्रेरित करने के लिए प्रॉक्सी-आधारित व्यवधान (Proxy-based Perturbation to Induce Malicious Action)

चूँकि पीड़ित MAS एक ब्लैक बॉक्स है, हमलावर वांछित क्रिया उत्पन्न करने के लिए सीधे ग्रेडिएंट (gradients) की गणना नहीं कर सकता है।

• प्रॉक्सी एजेंट (Proxy Agents): हमलावर मल्टी-एजेंट जेनेरेटिव एडवरसेरियल इमिटेशन लर्निंग (MAGAIL) का उपयोग करके प्रॉक्सी एजेंटों ($\pi_{\psi}$) को प्रशिक्षित करता है। ये प्रॉक्सी एजेंट पीड़ित एजेंटों की नीतियों ($\pi_{\psi} \approx \pi_{victim}$) का अनुमान लगाते हैं, जो उनके अवलोकन-से-क्रिया मैपिंग (observation-to-action mappings) की नकल करने के लिए सीखते हैं।
• व्यवधान पीढ़ी (Perturbation Generation):
  • एक बार प्रॉक्सी एजेंट प्रशिक्षित हो जाने के बाद, हमलावर को प्रॉक्सी मॉडल तक "व्हाइट-बॉक्स" पहुँच प्राप्त हो जाती है।
  • प्रॉक्सी मॉडल पर C&W (Carlini & Wagner) हमले तकनीक का उपयोग करके, सिस्टम एक बाधित अवलोकन $\tilde{o}_{t,i}$ उत्पन्न करता है जो प्रॉक्सी (और स्थानांतरणीयता/transferability के माध्यम से, पीड़ित) को वांछित दुर्भावनापूर्ण क्रिया $\tilde{a}_t$ आउटपुट करने के लिए मजबूर करता है।
  • गोपनीयता सुनिश्चित करने के लिए व्यवधान को न्यूनतम (यूक्लिडियन दूरी) किया जाता है, जबकि इस बाधा को पूरा किया जाता है कि नीति लक्षित क्रिया आउटपुट करे।
• इंजेक्शन (Injection): उत्पन्न बाधित अवलोकन को वास्तविक ब्लैक-बॉक्स वातावरण में चयनित पीड़ित एजेंट के इनपुट स्ट्रीम में इंजेक्ट किया जाता है।

3. प्रमुख योगदान (Key Contributions)

1. नवीन ब्लैक-बॉक्स ढांचा: AdapAM का प्रस्ताव करता है, जो सख्त ब्लैक-बॉक्स MAS सेटिंग में बिना क्रिया नियंत्रण की आवश्यकता के, अनुकूल रूप से पीड़ित एजेंट और अपेक्षित दुर्भावनापूर्ण क्रिया दोनों को चुनने वाला पहला ढांचा है।
2. प्रॉक्सी-आधारित व्यवधान: जेनेरेटिव एडवरसेरियल इमिटेशन लर्निंग (MAGAIL) का उपयोग करके प्रॉक्सी एजेंटों को प्रशिक्षित करने की एक विधि पेश करता है। यह प्रभावी व्यवधान उत्पन्न करने के लिए आवश्यक व्हाइट-बॉक्स ग्रेडिएंट जानकारी और ब्लैक-बॉक्स बाधाओं के बीच के अंतर को पाटता है।
3. संतुलित प्रदर्शन: यह केवल एक महत्वपूर्ण एजेंट पर हमला करके प्रभावशीलता (सिस्टम प्रदर्शन को कम करना) और गोपनीयता (न्यूनतम व्यवधान परिमाण और कम पहचान दर) के बीच एक बेहतर संतुलन प्राप्त करता है।

4. प्रयोगात्मक परिणाम (Experimental Results)

लेखकों ने तीन बेंचमार्क: SMAC (StarCraft), GF (Google Research Football), और MPE (Multi-Agent Particle) के तहत 8 मल्टी-एजेंट वातावरणों पर AdapAM का मूल्यांकन किया। उन्होंने इसकी तुलना चार बेसलाइनों (MASafe, AMCA, AMI, और Lin) से की।

• हमला प्रदर्शन (Attack Performance):

  • प्रभावशीलता: AdapAM ने "सामान्य" और "रोबस्ट" (ROMANCE-प्रशिक्षित) लक्ष्य MAS दोनों के Reward और Win Rate को काफी कम कर दिया।
  • तुलना: कम एजेंटों (<10) वाले वातावरणों में, AdapAM ने जीत की दर (win rate) को 0% तक कम कर दिया, जो सभी बेसलाइनों से बेहतर प्रदर्शन करता है। बड़े पैमाने के वातावरणों (जैसे, 27m बनाम 30m) में भी, यह अत्यधिक प्रतिस्पर्धी बना रहा, और अक्सर उन विधियों से आगे निकल गया जो सभी एजेंटों को बाधित करती हैं।
  • मजबूती (Robustness): हमलों के विरुद्ध विशेष रूप से प्रशिक्षित MAS के विरुद्ध भी AdapAM ने श्रेष्ठ प्रदर्शन बनाए रखा।
  • व्यवधान दरें (Perturbation Rates): विभिन्न व्यवधान दरों (15% से 100%) में AdapAM ने लगातार बेसलाइनों को पछाड़ दिया।

• गोपनीयता मूल्यांकन (Stealthiness Evaluation):

  • व्यवधान परिमाण (Perturbation Magnitude): $L_\infty$ नॉर्म द्वारा मापा गया। AdapIM ने सभी बेसलाइनों की तुलना में सबसे कम व्यवधान जोड़ा (जैसे, SMAC-8m में 0.12 बनाम 0.33), जिससे हमले अदृश्य हो गए।
  • पहचान प्रतिरोध (Detection Resistance): मौजूदा हमले का पता लगाने वाले तंत्र के F1 स्कोर द्वारा मापा गया। AdapAM का F1 स्कोर सबसे कम था (जैसे, 0.57 बनाम 0.82), जो दर्शाता है कि इसे पकड़ना सबसे कठिन है।
  • तर्क: MASafe (जो सभी एजेंटों को बाधित करता है और आसानी से पकड़ा जाता है) के विपरीत, AdapAM का चयनात्मक, एकल-एजेंट दृष्टिकोण और अनुकूलित व्यवधान पीढ़ी उच्च गोपनीयता सुनिश्चित करती है।

5. महत्व (Significance)

• सुरक्षा मूल्यांकन: Adap-AM वास्तविक, ब्लैक-बॉक्स परिदृश्यों में MAS की वास्तविक मजबूती का मूल्यांकन करने के लिए एक कठोर उपकरण प्रदान करता है, जो उन कमजोरियों को उजागर करता है जिन्हें व्हाइट-बॉक्स या गैर-अनुकूलित विधियाँ मिस कर सकती हैं।
• व्यावहारिकता: सख्त ब्लैक-बॉक्स बाधाओं (केवल अवलोकन व्यवधान) के तहत कार्य करके और न्यूनतम हमले बजट (एकल एजेंट) की आवश्यकता के साथ, यह विधि स्वायत्त ड्राइविंग और ड्रोन झुंड जैसे महत्वपूर्ण बुनियादी ढांचे के लिए यथार्थवादी थ्रेट मॉडल को दर्शाती है।
• रक्षा निहितार्थ: AdapAM की सफलता वर्तमान मजबूत प्रशिक्षण (robust training) विधियों की अनुकूल, लक्षित हमलों के विरुद्ध अपर्याप्तता को रेखांकित करती है, जो एजेंट चयन और अवलोकन अखंडता को विशेष रूप से संबोधित करने वाले रक्षा तंत्र की आवश्यकता का सुझाव देती है।

निष्कर्षतः, AdapAM यह प्रदर्शित करता है कि अनुकूलित लक्ष्यीकरण (adaptive targeting) को प्रॉक्सी-आधारित व्हाइट-बॉक्स पीढ़ी के साथ जोड़ना मल्टी-एजेंट सिस्टम को समझौता करने के लिए एक अत्यधिक प्रभावी और गुप्त रणनीति है, जो हमले की सफलता और गोपनीयता दोनों में अत्याधुनिक विधियों से बेहतर प्रदर्शन करती है।